Articulo 23 Protección de datos de las personas físicas respecto de su tratamiento por los organismos comunitarios y su libre circulación

1. Cuando el tratamiento se efectúe por cuenta del responsable del tratamiento, éste elegirá un encargado del tratamiento que reúna garantías suficientes en relación con las medidas de seguridad de carácter técnico y organizativo contempladas en el artículo 22, y deberá asegurar el cumplimiento de dichas medidas.

2. La realización de tratamientos por encargo deberá estar regulada por un contrato u otro acto jurídico que vincule al encargado del tratamiento con el responsable del tratamiento y que disponga, en particular, que:

a) el encargado del tratamiento sólo deberá actuar siguiendo instrucciones del responsable del tratamiento;

b) las obligaciones de los artículos 21 y 22 incumben también al encargado del tratamiento, a menos que, en virtud del artículo 16 o del segundo guión del apartado 3 del artículo 17 de la Directiva 95/46/CE, el encargado del tratamiento ya esté sujeto a obligaciones de confidencialidad y seguridad establecidas en la legislación nacional de uno de los Estados miembros.

3. A efectos probatorios, las partes del contrato o del acto jurídico relativas a la protección de datos y los requisitos relativos a las medidas mencionadas en el artículo 22 constarán por escrito o en otra forma equivalente.